Foydalanuvchi xavfsizligi Sennheiser xatosi tufayli buzilgan

HeadSetup va HeadSetup Pro ilovalari shaxsiy kalitlarni ajratib olishni osonlashtiradigan ildiz sertifikatlarini o’rnatdi.

Sennheiser xatolik bilan HeadSetup va HeadSetup Pro ilovalariga shaxsiy kalitlarga ega ikkita ildiz sertifikatini kiritdi, bu esa tajovuzkorlar tomonidan osongina kirish va sertifikatlar, rasmiy veb-saytlar va boshqalarni soxtalashtirish uchun ishlatilishi mumkin edi. HeadSetup va HeadSetup Pro dasturlari «softfonlar» deb ataladi – jismoniy telefonga ehtiyoj sezmasdan internet orqali yoki kompyuterdan qo’ng’iroqlarni amalga oshirish uchun mo’ljallangan ilovalar.

Muammo Secorvo mutaxassislari e’tiboriga havola qilindi va ular HeadSetup 7.3, 7.4 va 8.0 versiyalari Windows Trusted Root Certificate do’koniga ikkita ildiz sertifikatini o’rnatishini va SennComCCKey.pem faylida shaxsiy kalitlarni saqlashini aniqladilar. Zaiflik CVE-2018-17612 sifatida aniqlandi.

Bundan tashqari, HeadSetup’ning macOS versiyasi ham sertifikatlarni o‘rnatadi va hozirda ularni dasturiy ta’minotni yangilash yoki butunlay o‘chirish orqali olib tashlashning iloji yo‘q. Tadqiqotchilar ta’kidlaganidek, HeadSetup ilovalari o‘rnatilgan har qanday tizim foydalanuvchi sertifikatlarni do‘kondan o‘chirmaguncha yoki ularning amal qilish muddati tugamaguncha (2027-yil 13-yanvar yoki 2037-yil 27-iyul) zaif bo‘lib qoladi.

Sennheiser muammoni tan oldi va ilovalarni o’z veb-saytidan olib tashladi. Ishlab chiquvchilar hozirda asosiy sertifikatlarni olib tashlaydigan va shaxsiy kalitlarning oqib ketishini oldini oluvchi yangilarini o’rnatadigan yangilanishni tayyorlamoqdalar.

Microsoft mutaxassislari o’zlarining ogohlantirishlarini e’lon qilishdi va yuqorida aytib o’tilganlarni chiqarib tashlagan holda ishonchli sertifikatlarning ichki ro’yxatini (Certificate Trust List, CTL) yangiladilar.

Sennheiser yangilanishini kutishni istamagan foydalanuvchilar Secorvo hisobotidagi ko’rsatmalardan foydalanib (7.2-bo’lim) do’kondan sertifikatlarni qo’lda olib tashlashlari mumkin. Sennheiser shuningdek, Windows va macOS kompyuterlaridan sertifikatlarni olib tashlash bo’yicha qo’llanmani nashr etdi.